云网端架构下通用可组合安全的可信网络连接方法技术

技术编号:38743231 阅读:14 留言:0更新日期:2023-09-08 23:26
本发明专利技术公开了一种云网端架构下通用可组合安全的可信连接方法,主要解决现有可信网络连接中用户与平台无法绑定认证,且无法跨网提供可扩展及可持续性连接认证的问题。其实现方案为:两个终端分别在云端完成身份注册与平台注册;两个终端的平台可信基在云网协同下完成平台校验并生成初始可信基会话密钥;终端在云网协同下完成身份验证并生成初始身份基会话密钥;后续轮次中,可信基完成平台校验并生成当轮可信基密钥,终端完成双向身份验证并生成当轮身份密钥;终端之间建立可信连接输出当轮可信连接密钥。本发明专利技术为用户提供的平台校验与身份认证绑定性强,能抵御平台置换攻击,持续生成连接密钥,保持可信网络连接的可扩展性,可用于云网端架构场景。可用于云网端架构场景。可用于云网端架构场景。

【技术实现步骤摘要】
云网端架构下通用可组合安全的可信网络连接方法


[0001]本专利技术属于信息安全
,特别设计一种通用可组合技术中的可信连接框架,可用于云网端架构场景,保证终端之间的可信网络连接。

技术介绍

[0002]物联网IoT起源于20世纪80年代的工业自动化和机器对机器M2M通信。随着互联网和无线通信技术的进步,以及2015年移动互联网的普及和5G技术的推广,物联网迎来了前所未有的增长规模。目前,全球物联网设备连接数已超过数十亿,并且预计到2025年将达到数十亿到数百亿的规模。随着物联网设备在生活生产中的广泛应用,物联网安全变成了亟待解决的问题之一。若物联网安全无法得到保障,攻击者便可利用漏洞入侵设备,窃取敏感数据、操纵系统或发动大规模网络攻击,对于企业和组织,物联网安全缺失可能导致业务中断、财务损失和声誉受损,对关键基础设施的攻击可能导致公共安全风险,如交通系统故障、能源中断和医疗设备受损等。因此,为物联网终端建立安全关联是迫切且必要的。
[0003]物联网终端设备通常由归属于各个不同管理域的数量庞大且连接机制各不相同的终端设备组成,这些设备往往无人全天候监管,处于自管自治的状态。这些特性在带来便利性与高效性的同时,也为物联网终端设备带来了安全隐患。物联网主要面临的两大威胁是传统的网络攻击与对终端系统的攻击,这些攻击一旦成功实施,便会带来无法估量的损失。由于物联网终端设备具有海量多元、机制异构、多域并存的特点,难以找到统一的安全关联方案,且各类物联网也易受各种不同的攻击,因此物联网终端的安全关联建立同样面临着严峻的挑战。
[0004]在云网端架构下通用可组合安全的可信网络连接方法可有效解决上述物联网终端系统所面临的挑战。其可以为多域并存的物联网体系提供交互服务,且可以在机制异构的多个系统之间实现可组合安全,打破不同机制之间的屏障。轻量级的密码运算则能有效解决物联网终端设备海量多元及算力不充足的问题。由于物联网终端系统往往无人全天候值守,多为节点自治,因此使用链式结构可以保证连接双方状态同步更新,且无需额外人力。为网络连接框架配置网络认证协议可抵御传统的网络攻击,且通过可信计算技术能效阻止终端系统攻击。
[0005]典型的网络认证协议如TLS,在1999年作为SSL的后续版本被提出。TLS通过加密通信数据、验证通信双方身份和提供完整性保护等机制,提供了强大的安全性和保护服务,以满足不断增长的网络通信安全需求。TLS协议在网页浏览、电子邮件、即时通信和移动应用等领域中起着重要作用。它不仅保护了敏感信息的传输安全,还为用户提供了机密性、数据完整性和身份验证等关键功能。TLS的出现使得网络通信更加安全可靠,为保护用户隐私和数据安全做出了重要贡献。但是TLS无法提供可组合安全性,无法为多域异构的物联网终端系统提供有效的安全保障。
[0006]可信计算组织TCG于2004年提出了第一个版本的TPM规范,该规范定义了硬件安全芯片的功能和接口标准,是第一个平台校验标准。而TCG于2010年提出的TNC规范则定义了
基于TPM的网络身份认证和安全通信的框架,以为用户提供身份认证。这种平台校验与身份认证相结合的认证方案为用户提供了安全可信的网络连接保护。但是该方案无法抵御平台置换攻击,且不支持跨网验证。
[0007]在2010年SCIENCE CHINA Information Sciences期刊中,论文《Universally composable secure TNC model and EAP

TNC protocol in IF

T》提出了一种通用可组合的可信网络连接协议TK

TNC。该论文建立了可信网络连接的通用可组合安全模型,提出了可信网络连接理想函数EAP认证理想函数以及EAP

TNC理想函数该论文证明现存协议D

H PN无法安全实现理想函数找到了一种针对D

H PN协议的平台置换攻击,通过引入twin DH交换技术,设计了可安全实现理想函数的协议TD

H PN。这种方案可以有效的抵御平台置换攻击,但是在扩展性和持续性方面有所欠缺,且不支持跨网认证。

技术实现思路

[0008]本专利技术的目的在于克服上述现有技术的不足,提出一种云网端架构下通用可组合安全的可信网络连接方法,以在保证可抵御平台置换攻击的前提下,为物联网终端设备与用户提供可持续性的密钥派生服务,更好地支持跨网认证,并提高框架的可扩展性。
[0009]为实现上述目的,本专利技术的技术方案包括以下步骤:
[0010](1)初始化密钥:
[0011]1a)终端A和终端B分别在云端完成身份注册和平台注册,并在云网协同下,生成初始可信基会话密钥TK0和初始身份基会话密钥IK0;
[0012]1b)在云网协同下,终端A的可信基TCB
A
和终端B的可信基TCB
B
完成平台校验,生成初始可信连接密钥RK0;
[0013](2)对所述两个终端的可信基进行校验:
[0014]2a)终端A和终端B分别向平台校验理想函数模块发送平台校验消息(EAP

TNC Request,sid,U
i
,NAR,NAA)和(EAP

TNC Response,sid,U
i
,NAR,NAA),其中EAP

TNC Request为可信网络连接发起操作代码,sid为会话标识符,U
i
为用户在系统中的身份,NAR为可信网络连接发起方的平台信息,NAA为可信网络连接响应方的平台信息,EAP

TNC Response为可信连接响应操作代码;
[0015]2b)平台校验理想函数模块对从两个终端A和B处收到的平台校验信息进行核查与检验,并向两个终端A和B发送校验结果(EAP

TNC Established,sid,t
i
),其中EAP

TNC Established为平台校验完成信息,t
i
为第i轮平台校验过程中产生的认证因子;
[0016]2c)两个终端A和B利用第i

1轮的可信基会话密钥TK
i
‑1和身份基会话密钥IK
i
‑1及认证因子t
i
,生成第i轮可信基密钥:TK
i
=Hash(t
i
,TK
i
‑1,IK
i
‑1),其中为Hash(.)哈希函数;
[0017](3)对所述两个终端用户的身份进行校验:
[0018]3a)两个终端A和B分别向身份校验理想函数模块发送身份校验消息(EAP Request,sid,U
i
,NAR,NAA)和(EAP Response,sid,本文档来自技高网
...

【技术保护点】

【技术特征摘要】
1.一种云网端架构下通用可组合安全的可信网络连接方法,包括如下步骤:(1)初始化密钥:1a)终端A和终端B分别在云端完成身份注册和平台注册,并在云网协同下,生成初始可信基会话密钥TK0和初始身份基会话密钥IK0;1b)在云网协同下,终端A的可信基TCB
A
和终端B的可信基TCB
B
完成平台校验,生成初始可信连接密钥RK0;(2)对所述两个终端的可信基进行校验:2a)终端A和终端B分别向平台校验理想函数模块发送平台校验消息(EAP

TNC Request,sid,U
i
,NAR,NAA)和(EAP

TNC Response,sid,U
i
,NAR,NAA),其中EAP

TNC Request为可信网络连接发起操作代码,sid为会话标识符,U
i
为用户在系统中的身份,NAR为可信网络连接发起方的平台信息,NAA为可信网络连接响应方的平台信息,EAP

TNC Response为可信连接响应操作代码;2b)平台校验理想函数模块对从两个终端A和B处收到的平台校验信息进行核查与检验,并向两个终端A和B发送校验结果(EAP

TNC Established,sid,t
i
),其中EAP

TNC Established为平台校验完成信息,t
i
为第i轮平台校验过程中产生的认证因子;2c)两个终端A和B利用第i

1轮的可信基会话密钥TK
i
‑1和身份基会话密钥IK
i
‑1及认证因子t
i
,生成第i轮可信基密钥:TK
i
=Hash(t
i
,TK
i
‑1,IK
i
‑1),其中为Hash(.)哈希函数;(3)对所述两个终端用户的身份进行校验:3a)两个终端A和B分别向身份校验理想函数模块发送身份校验消息(EAP Request,sid,U
i
,NAR,NAA)和(EAP Response,sid,U
i
,NAR,NAA),其中EAP Request为身份校验请求操作代码,EAP Response为身份校验响应操作代码;3b)身份校验理想函数模块对两个终端A和B进行身份验证,并向其发送身份校验结果(EAP Established,sid,k
i
),其中EAP Established为身份验证成功信息,k
i
为身份验证过程中产生的认证因子;3c)两个终端A和B利用上轮可信基会话密钥TK
i
‑1,上轮身份基会话密钥IK
i
‑1及认证因子k
i
,生成本轮身份基密钥:IK
i
=Hash(k
i
,TK
i
‑1,IK
i
‑1);(4)可信网络连接的建立4a)两终端A和B分别计算本轮认证密钥AK
i
和本轮可信连接密钥RK
i
::其中f(.)为伪随机函数;4b)终端A向终端B发送密钥确认消息(TNC Success,sid,mac),其中TNC Success为可信网络连接成功信息,mac为消息认证码;终端B利用认证密钥AK
i
检测mac的正确性:若正确,则所述两个终端完成本轮可信连接,本地保存本轮密钥TK
i
以及IK
i
,并利用R...

【专利技术属性】
技术研发人员:张俊伟周立元马建峰卢笛马卓李兴华李腾马鑫迪
申请(专利权)人:西安电子科技大学
类型:发明
国别省市:

网友询问留言 已有0条评论
  • 还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。

1